Better Auth better-auth: UI-Fehldarstellung bei der Geräteautorisierung
Zusammenfassung
Das Plugin deviceAuthorization von better-auth 1.3.8-beta.3 bis 1.7.0-rc.3 zeigt auf der Freigabeseite weder die anfragende Client-ID noch den angeforderten Scope an. Ein Angreifer kann eine Geräteanfrage starten, einen angemeldeten Benutzer zur Freigabe des Codes verleiten und den Code danach gegen ein gültiges Sitzungs-Token dieses Benutzers einlösen. Voraussetzung sind das aktivierte Opt-in-Plugin, eine Anwendung, die das zurückgegebene Sitzungs-Token akzeptiert, und ein Benutzer, der die Anfrage aktiv freigibt.
Betroffen
- better-auth ab 1.3.8-beta.3 bis vor 1.7.0-rc.3, sofern das Plugin deviceAuthorization() aktiviert ist
- Alle Releases der Linie 1.6 sind betroffen
Behoben in
- Behoben in better-auth 1.7.0-rc.3; Upgrade auf better-auth 1.7.0 oder neuer
- Kein Release der Linie 1.6 enthält die Korrektur
Umgehung
- Plugin deviceAuthorization() deaktivieren oder untrusted Zugriff auf /device/code blockieren
- Eine strikte validateClient-Allowlist begrenzt, wer den Ablauf starten kann, behebt aber die fehlenden Freigabeinformationen nicht
- Benutzer sollten unerwartete Geräteanfragen ablehnen und nur freigeben, wenn derselbe Code auf einem Gerät in ihrem Besitz angezeigt wird
Ausnutzung
- Bei der Recherche wurde keine Ausnutzung in freier Wildbahn festgestellt; CISA KEV nicht geprüft
- Kein öffentlicher Proof of Concept gefunden
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein
- EPSS 0.00278 in einer Sekundärquelle (nicht verifiziert)
Unsere Empfehlung
- Prüfen, ob better-auth verwendet wird und ob deviceAuthorization() registriert ist, auch in der Auth-Konfiguration
- Falls das Plugin aktiviert ist, Upgrade auf 1.7.0 oder neuer planen und testen, einschliesslich der Datenbankmigration (MySQL und SQL Server: Geräte- und Benutzercode-Spalten als Zeichenketten mit maximal 191 Zeichen)
- Falls das Plugin nicht genutzt wird, die Komponente als nicht betroffen dokumentieren und das Advisory beobachten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-q84f-53jg-9ppm github.com
- VulnCheck advisory www.vulncheck.com
- OSV GHSA-q84f-53jg-9ppm osv.dev
- better-auth v1.7.0-rc.3 release notes github.com
- better-auth 1.7 RC blog post better-auth.com
- GitLab advisory GHSA-q84f-53jg-9ppm advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.